🇰🇷 한글 설명
openssl_encrypt 1.4.0 미만 버전의 /ready 엔드포인트에서 인증되지 않은 사용자가 데이터베이스 예외 문자열 전체를 확인할 수 있는 정보 노출 취약점이 존재합니다. 공격자는 데이터베이스 오류를 유도하여 호스트 이름, IP 주소, 연결 매개변수 및 잠재적인 자격 증명을 추출할 수 있습니다.
💡 쉬운 설명
인증 없이도 서버의 민감한 정보가 담긴 오류 메시지를 볼 수 있는 보안 약점입니다. 이를 통해 해커가 서버의 주소나 데이터베이스 접속 정보를 알아낼 위험이 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 contain an information disclosure vulnerability in the /ready endpoint that returns full database exception strings to unauthenticated callers. Attackers can trigger database errors to extract sensitive information including hostnames, IP addresses, connection parameters, and potentially credentials from exception messages.
📍 영향받는 시스템
openssl_encrypt versions before 1.4.0
⚔️ 공격 벡터
인증되지 않은 사용자가 /ready 엔드포인트에 요청을 보내 데이터베이스 오류를 유도함
🛡️ 대응 방법
openssl_encrypt 버전을 1.4.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 1.4.0 미만인지 확인하십시오.
openssl_encrypt --version 2>/dev/null | grep -E 'version'